Recopila registros de Trend Micro Apex One

Compatible con:

Google SecOps SIEM

Nota: Esta función está sujeta a las Condiciones de las ofertas de la fase previa a la DG de las Condiciones Específicas del Servicio de Operaciones de Seguridad de Google. Las características de la fase previa a la DG pueden tener asistencia limitada, y es posible que los cambios en las características de la fase previa a la DG no sean compatibles con otras versiones de la fase previa a la DG. Para obtener más información, consulta los lineamientos del servicio de asistencia técnica de Google Security Operations y las Condiciones específicas del servicio de Google Security Operations.

En este documento, se describe cómo puedes recopilar los registros de Trend Micro Apex One. El analizador extrae datos de los mensajes de syslog, específicamente aquellos con formato de pares clave-valor y con el prefijo “CEF:”. Usa expresiones regulares y lógica condicional para asignar campos de CEF a la UDM, categorizar eventos según la presencia de información del usuario o del sistema y, además, identificar la plataforma del sistema operativo. Se descartan los mensajes con formato que no sean CEF.

Antes de comenzar

• Asegúrate de tener una instancia de Google Security Operations.
• Asegúrate de usar Windows 2016 o una versión posterior, o un host de Linux con systemd.
• Si se ejecuta detrás de un proxy, asegúrate de que los puertos del firewall estén abiertos.
• Asegúrate de tener acceso de administrador a la consola de Apex Central

Obtén el archivo de autenticación de transferencia de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Agentes de recopilación.
3. Descarga el archivo de autenticación de transferencia. Guarda el archivo de forma segura en el sistema en el que se instalará BindPlane.

Obtén el ID de cliente de Google SecOps

1. Accede a la consola de Google SecOps.
2. Ve a Configuración de SIEM > Perfil.
3. Copia y guarda el ID de cliente de la sección Detalles de la organización.

Instala el agente de BindPlane

Instalación de Windows

1. Abre el símbolo del sistema o PowerShell como administrador.

2. Ejecuta el siguiente comando:

   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
   

Instalación de Linux

1. Abre una terminal con privilegios de raíz o sudo.

2. Ejecuta el siguiente comando:

   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
   

Recursos de instalación adicionales

• Para obtener más opciones de instalación, consulta esta guía de instalación.

Configura el agente de BindPlane para transferir Syslog y enviarlo a Google SecOps

1. Accede al archivo de configuración:

   • Ubica el archivo config.yaml. Por lo general, se encuentra en el directorio /etc/bindplane-agent/ en Linux o en el directorio de instalación en Windows.
   • Abre el archivo con un editor de texto (por ejemplo, nano, vi o Bloc de notas).

2. Edita el archivo config.yaml de la siguiente manera:

   receivers:
       udplog:
           # Replace the below port <54525> and IP <0.0.0.0> with your specific values
           listen_address: "0.0.0.0:54525" 
   
   exporters:
       chronicle/chronicle_w_labels:
           compression: gzip
           # Adjust the creds location below according the placement of the credentials file you downloaded
           creds: '{ json file for creds }'
           # Replace <customer_id> below with your actual ID that you copied
           customer_id: <customer_id>
           endpoint: malachiteingestion-pa.googleapis.com
           # You can apply ingestion labels below as preferred
           ingestion_labels:
           log_type: SYSLOG
           namespace: trendmicro_apex_one
           raw_log_field: body
   service:
       pipelines:
           logs/source0__chronicle_w_labels-0:
               receivers:
                   - udplog
               exporters:
                   - chronicle/chronicle_w_labels
   

3. Reemplaza el puerto y la dirección IP según sea necesario en tu infraestructura.

4. Reemplaza <customer_id> por el ID de cliente real.

5. Actualiza /path/to/ingestion-authentication-file.json a la ruta de acceso en la que se guardó el archivo de autenticación en la sección Obtén el archivo de autenticación de transferencia de Google SecOps.

Reinicia el agente de BindPlane para aplicar los cambios.

• En Linux, para reiniciar el agente de BindPlane, ejecuta el siguiente comando:

  sudo systemctl restart bindplane-agent
  

• En Windows, para reiniciar el agente de BindPlane, puedes usar la consola Services o ingresar el siguiente comando:

  net stop BindPlaneAgent && net start BindPlaneAgent
  

Configura el reenvío de Syslog en Trend Micro Apex One

1. Accede a la consola de Apex Central con tus credenciales de administrador.
2. Ve a Administración > Configuración > Configuración de Syslog.
3. Marca la casilla Habilitar reenvío de syslog.

4. Configura los detalles del servidor de Syslog:

   • Dirección del servidor: Ingresa la dirección IP o el FQDN del servidor Syslog (Bindplane).
   • Puerto: Especifica el número de puerto en el que escucha el servidor de Syslog (Bindplane).
   • Protocolo: Selecciona UDP como el protocolo de transmisión ().

   • Opcional: Configurar la configuración de proxy: Marca Usar un servidor proxy SOCKS.

     Nota: Asegúrate de que la configuración del proxy esté configurada en Administración > Configuración > Configuración de proxy.

   • Log Format: Selecciona CEF.

   • Frecuencia: Define la frecuencia con la que se reenvían los registros al servidor Syslog.

   • Tipo de registro: Selecciona Registros de seguridad y Información del producto.

5. Haz clic en Probar conexión para asegurarte de que Apex Central pueda comunicarse con el servidor Syslog (Bindplane).

6. Haz clic en Guardar para aplicar la configuración.

Tabla de asignación de UDM

Campo de registro	Asignación de UDM	Lógica
act	security_result.action_details	Se asigna directamente desde el campo act.
ApexCentralHost	about.asset.asset_id	Se usa como parte de la lógica de generación de asset_id. El valor "Trend Micro.Apex Central:" se coloca al principio del campo deviceExternalId.
app	target.port	Se asigna directamente desde el campo app.
cat	security_result.category_details	Se asigna directamente desde el campo cat.
cn1	additional.fields[4].value.string_value	Se asigna directamente desde el campo cn1. La clave se deriva de cn1Label.
cn1Label	additional.fields[4].key	Se asigna directamente desde el campo cn1Label.
cn2	additional.fields[6].value.string_value	Se asigna directamente desde el campo cn2. La clave se deriva de cn2Label.
cn2Label	additional.fields[6].key	Se asigna directamente desde el campo cn2Label.
cn3	additional.fields[2].value.string_value	Se asigna directamente desde el campo cn3. La clave se deriva de cn3Label.
cn3Label	additional.fields[2].key	Se asigna directamente desde el campo cn3Label.
cs1	additional.fields[0].value.string_value	Se asigna directamente desde el campo cs1. La clave se deriva de cs1Label.
cs1Label	additional.fields[0].key	Se asigna directamente desde el campo cs1Label.
cs2	additional.fields[1].value.string_value	Se asigna directamente desde el campo cs2. La clave se deriva de cs2Label.
cs2Label	additional.fields[1].key	Se asigna directamente desde el campo cs2Label.
cs3	additional.fields[5].value.string_value	Se asigna directamente desde el campo cs3. La clave se deriva de cs3Label.
cs3Label	additional.fields[5].key	Se asigna directamente desde el campo cs3Label.
cs4	additional.fields[0].value.string_value	Se asigna directamente desde el campo cs4. La clave se deriva de cs4Label.
cs4Label	additional.fields[0].key	Se asigna directamente desde el campo cs4Label.
cs5	additional.fields[2].value.string_value	Se asigna directamente desde el campo cs5. La clave se deriva de cs5Label.
cs5Label	additional.fields[2].key	Se asigna directamente desde el campo cs5Label.
cs6	additional.fields[7].value.string_value	Se asigna directamente desde el campo cs6. La clave se deriva de cs6Label.
cs6Label	additional.fields[7].key	Se asigna directamente desde el campo cs6Label.
deviceExternalId	about.asset.asset_id	Se usa como parte de la lógica de generación de asset_id. El valor "Trend Micro.Apex Central:" se agrega al principio de este campo.
deviceNtDomain	about.administrative_domain	Se asigna directamente desde el campo deviceNtDomain.
devicePayloadId	additional.fields[3].value.string_value	Se asigna directamente desde el campo devicePayloadId. La clave está codificada como "devicePayloadId".
deviceProcessName	about.process.command_line	Se asigna directamente desde el campo deviceProcessName.
dhost	target.hostname	Se asigna directamente desde el campo dhost.
dntdom	target.administrative_domain	Se asigna directamente desde el campo dntdom.
dst	target.ip	Se asigna directamente desde el campo dst.
duser	target.user.userid, target.user.user_display_name	Se asigna directamente desde el campo duser.
dvchost	about.hostname	Se asigna directamente desde el campo dvchost.
fileHash	about.file.full_path	Se asigna directamente desde el campo fileHash.
fname	additional.fields[9].value.string_value	Se asigna directamente desde el campo fname. La clave está codificada como "fname".
message	metadata.product_event_type	El encabezado CEF se extrae del campo de mensaje.
request	target.url	Se asigna directamente desde el campo request.
rt	metadata.event_timestamp	Se asigna directamente desde el campo rt.
shost	principal.hostname	Se asigna directamente desde el campo shost.
src	principal.ip	Se asigna directamente desde el campo src.
TMCMdevicePlatform	principal.platform	Se asignan según la lógica del analizador. Los valores se normalizan a "WINDOWS", "MAC" o "LINUX".
TMCMLogDetectedHost	principal.hostname	Se asigna directamente desde el campo TMCMLogDetectedHost.
TMCMLogDetectedIP	principal.ip	Se asigna directamente desde el campo TMCMLogDetectedIP. Se deriva de la lógica del analizador según la presencia de otros campos. Los valores posibles son "USER_UNCATEGORIZED", "STATUS_UPDATE" o "GENERIC_EVENT". Está codificado de forma fija en "TRENDMICRO_APEX_ONE". Está codificado de forma fija en "TRENDMICRO_APEX_ONE". Se extrae del encabezado CEF en el campo message. Se codifica de forma fija como "LOW".

Cambios

2023-12-18

• Sin embargo, el analizador se creó recientemente.